Verwalten Sie benutzerdefinierte Rollen in Enterprise-Plänen

Mit benutzerdefinierten Rollen können Sie definieren, auf welche Funktionen Ihre Mitglieder zugreifen können. Jede benutzerdefinierte Rolle enthält einen Satz von Berechtigungen, die den Zugriff auf spezifische Funktionen wie Chat, Claude Cowork, Claude Code und Websuche sowie die Konnektoren, die Ihre Organisation hinzugefügt hat, wie Slack oder Google Drive, gewähren oder einschränken.

Benutzerdefinierte Rollen können auch Admin-Berechtigungen gewähren, die Mitgliedern Zugriff auf spezifische Verwaltungsbereiche wie Abrechnung, Identität oder Datenschutz geben, ohne sie zu Eigentümern zu machen. Eine benutzerdefinierte Rolle kann auch alle Admin-Berechtigungen eines Eigentümers mit der Berechtigung Eigentümerzugriff gewähren.

Benutzerdefinierte Rollen funktionieren zusammen mit Gruppen. Der typische Arbeitsablauf ist: Erstellen Sie benutzerdefinierte Rollen, weisen Sie sie Gruppen zu, und setzen Sie dann die Rollen der Mitglieder auf „Benutzerdefiniert“, damit ihr Zugriff vollständig durch die benutzerdefinierten Rollen gesteuert wird, die ihren Gruppen zugewiesen sind.

Der Funktionszugriff wird durch eine vierstufige Prioritätskette bestimmt, bei der die restriktivste Stufe gewinnt:

Die wichtigste Erkenntnis: Der Organisationsebenen-Schalter ist ein Hauptschalter. Benutzerdefinierte Rollen sind die darunter liegenden Schalter pro Mitglied. Eine Funktion muss auf Organisationsebene aktiviert sein, bevor benutzerdefinierte Rollen steuern können, wer Zugriff erhält.

Jede benutzerdefinierte Rolle kann den Zugriff auf die folgenden Funktionen gewähren oder einschränken:

Benutzerdefinierte Rollen regeln auch Admin-Berechtigungen, Konnektoren und Modellzugriff, die auf separaten Registerkarten „Berechtigungen“, „Konnektoren“ und „Modelle“ im Rollen-Editor konfiguriert werden. Siehe „Admin-Berechtigungen“, „Konnektorberechtigung“ und „Modellzugriff“ unten.

Anstatt Funktionen einzeln umzuschalten, können Sie einer Rolle alle Funktionen gewähren. Wählen Sie beim Erstellen oder Bearbeiten einer Rolle eine Option auf der Registerkarte „Funktionen“ für „Funktionszugriff“:

Rollen, die auf eine dieser Optionen eingestellt sind, erhalten neue Funktionen automatisch bei ihrer Einführung. Rollen, die auf „Nur ausgewählte“ eingestellt sind, enthalten nur die von Ihnen ausgewählten Funktionen.

Rollenänderungen können bis zu 15 Minuten dauern, bis sie wirksam werden, und Mitglieder müssen möglicherweise ihren Browser aktualisieren. Alle Mitglieder in Gruppen, die dieser Rolle zugewiesen sind, sind betroffen.

Klicken Sie auf die Menüschaltfläche einer benutzerdefinierten Rolle und wählen Sie „Rolle löschen“. Das Löschen einer Rolle entfernt ihre Berechtigungen aus allen Gruppen, denen sie zugewiesen war. Mitglieder in diesen Gruppen verlieren die Berechtigungen, die die Rolle gewährte, es sei denn, eine andere Rolle in ihrer Kette gewährt sie ebenfalls.

Benutzerdefinierte Rollen werden Gruppen zugewiesen, nicht direkt einzelnen Mitgliedern. So weisen Sie eine Gruppe einer Rolle zu:

Sie können benutzerdefinierte Rollen auch beim Erstellen oder Bearbeiten einer Gruppe in Organisationseinstellungen > Gruppen zuweisen. Siehe Gruppen und Ausgabenlimits für Gruppen in Enterprise-Plänen verwalten.

Wenn ein Mitglied mehreren Gruppen mit unterschiedlichen benutzerdefinierten Rollen angehört, sind seine Berechtigungen additiv – es erhält die Vereinigung aller Berechtigungen aus allen Rollen in seiner Kette. Wenn eine Rolle ein Feature gewährt, hat das Mitglied Zugriff darauf.

Das bedeutet, dass Sie eine Rolle nicht verwenden können, um eine Berechtigung zu entfernen, die eine andere Rolle gewährt. Dies ist beabsichtigt – es ermöglicht einen gestaffelten Ansatz, bei dem eine Basisrolle häufige Funktionen abdeckt und zusätzliche Rollen spezifische Funktionen und Administratorberechtigungen hinzufügen.

Beispiel: Ein Mitglied ist in zwei Gruppen. Die Gruppe „Alle Benutzer“ hat eine Rolle „Standardzugriff“ mit Websuche und Speicher. Die Gruppe „Engineering“ hat eine Rolle „Entwickler“ mit Cowork und Claude Code. Das Mitglied erhält alle vier: Websuche, Speicher, Cowork und Claude Code.

Wenn ein Mitglied mehreren Gruppen angehört, deren Rollen unterschiedliche Funktionen gewähren, kann es schwierig sein, zu sehen, was es tatsächlich tun kann. Die Option „Effektive Rolle anzeigen“ zeigt das kombinierte Ergebnis: jede Funktion, Administratorberechtigung und jeden Konnektor, den das Mitglied hat, mit der Rolle, die jede gewährt.

Das Modal zeigt die zugewiesenen Rollen des Mitglieds und drei Registerkarten:

Diese Ansicht ist schreibgeschützt. Um zu ändern, was ein Mitglied tun kann, bearbeiten Sie die Rollen, die seinen Gruppen zugewiesen sind.

Benutzerdefinierte Rollen können zusätzlich zu Funktionen und Konnektor-Berechtigungen Administratorberechtigungen gewähren. Administratorberechtigungen geben Mitgliedern Zugriff auf spezifische Verwaltungsbereiche wie Abrechnung oder Datenschutz, ohne sie zu Eigentümern zu machen. Sie können Administratorberechtigungen auf der Registerkarte Berechtigungen des Rollen-Editors konfigurieren.

Auf der Registerkarte Berechtigungen legen Sie jeden Berechtigungsbereich auf eine von drei Stufen fest:

Innerhalb eines Bereichs gewähren Sie entweder alle Anzeigeberechtigungen oder alle Verwaltungsberechtigungen. Sie können einzelne Seiten oder Einstellungen nicht gewähren oder einschränken.

Es gibt acht Administratorberechtigungsbereiche:

Die Berechtigung „Owner-Zugriff“ gibt einer benutzerdefinierten Rolle alle Admin-Berechtigungen eines Owners. Owners erhalten ihre Berechtigungen direkt von der Owner-Rolle und überspringen benutzerdefinierte Rollen. Daher mussten Sie bisher zwischen der Ernennung einer Person zum Owner und der Verwaltung ihres Zugriffs durch benutzerdefinierte Rollen wählen. Mit Owner-Zugriff kann ein Benutzer vollständigen Admin-Zugriff haben, während seine Fähigkeiten, Konnektoren und Modelle weiterhin durch die benutzerdefinierten Rollen gesteuert werden, die seinen Gruppen zugewiesen sind.

Owners, Primary Owners und benutzerdefinierte Rollen mit Identität & Zugriff auf „Kann verwalten“ können Owner-Zugriff aktivieren. Dies entspricht der Owner-Rolle, nicht der Primary Owner-Rolle.

So geben Sie einer Rolle Owner-Zugriff:

Owner-Zugriff gilt nur für Benutzer, deren Rolle auf „Benutzerdefiniert“ gesetzt ist und die sich in einer Gruppe befinden, der die Rolle zugewiesen ist. Wenn Sie die Rolle eines Owners auf „Benutzerdefiniert“ ändern, wird sein integrierter Owner-Zugriff entfernt. Fügen Sie ihn daher zur Gruppe hinzu, bevor Sie seine Rolle ändern. Wenn Rollen aus der Verzeichnissynchronisierung mit Gruppenzuordnungen stammen, ordnen Sie die Identitätsanbieter-Gruppe des Benutzers „Benutzerdefiniert“ statt Owner zu.

Folgende Optionen bleiben nur für Inhaber und Primäre Inhaber verfügbar, auch für Mitglieder mit Admin-Berechtigungen:

Wenn ein Mitglied keinen Zugriff auf eine bestimmte Admin-Berechtigung hat, wird der Abschnitt in seinen Organisationseinstellungen nicht angezeigt. Es werden nur Abschnitte angezeigt, die seine Berechtigungen abdecken.

Benutzerdefinierte Rollen steuern auch, welche Konnektoren und welche Tools auf diesen Konnektoren eine Rolle verwenden kann. Während Funktionen Claudes integrierte Funktionen abdecken, decken Konnektor-Berechtigungen die Apps und Dienste ab, die Sie mit Ihrer Organisation verbunden haben, z. B. Slack, Google Drive oder Jira. Sie legen diese auf der Registerkarte **Konnektoren** des Rollen-Editors neben den Registerkarten **Funktionen** und **Berechtigungen** fest.

Auf der Registerkarte **Konnektoren** legen Sie alle Konnektoren, jeden Konnektor oder jedes Tool auf einem Konnektor auf eine von drei Stufen fest:

Ein Konnektor kann auch auf **Benutzerdefiniert** gesetzt werden, wodurch Sie jedes seiner Tools einzeln festlegen können. Für die vollständige Einrichtung siehe **Rollenbasierte Berechtigungen in Enterprise-Plänen einrichten**.

Ein Konnektor oder Tool durchläuft mehrere Ebenen, bevor ein Mitglied ihn verwenden kann, bewertet in dieser Reihenfolge:

Für Mitglieder, die Claude Code verwenden, gilt eine weitere Ebene: Verwaltete Einstellungsrichtlinien und Konnektor-Berechtigungen werden nach dem restriktivsten Prinzip kombiniert. Ein Tool ist nur aufrufbar, wenn beide es zulassen. Weitere Informationen finden Sie unter **Claude Code-Einstellungen**.

Für Mitglieder, die Claude Cowork verwenden, durchlaufen schreibfähige Konnektor-Tools ein weiteres Gate. Siehe **Cowork-Genehmigungseinstellung für Schreib-Tools** unten.

Diese Tabelle zeigt, wie die organisationsweite Tool-Richtlinie und die Rollenzuweisung eines Mitglieds kombiniert werden:

Claude Cowork hat eine separate Organisationseinstellung, »„Immer erlauben“ für Connector-Tools erlauben„, die schreibfähige Connector-Tools steuert. Sie ist standardmäßig deaktiviert, und benutzerdefinierte Rollenzuweisungen können sie nicht außer Kraft setzen: Selbst wenn die organisationsweite Tool-Richtlinie und alle Rollenzuweisungen auf“„Immer erlauben“„eingestellt sind, genehmigen Mitglieder diese Tools in Cowork pro Aufgabe, bis die Einstellung aktiviert wird. Weitere Informationen zu“Connector-Tool-Genehmigungen in Cowork« finden Sie unter https://support.claude.com/en/articles/13455879-use-claude-cowork-on-team-and-enterprise-plans#h_1bd1fa754d.

Connector-Berechtigungen werden auf Anthropics Servern durchgesetzt und gelten daher für jede Claude-Oberfläche, die Connector-Datenverkehr über Anthropic leitet:

Connector-Berechtigungen regeln Connectors, die Ihre Organisation unter „Organisationseinstellungen > Connectors“ unter https://claude.ai/admin-settings/connectors hinzugefügt hat. Sie regeln keine Connectors, die ein Mitglied lokal auf seinem eigenen Computer ausführt, und sie regeln nicht Claude Cowork, wenn es auf einer Drittanbieter-Plattform bereitgestellt wird. Verwenden Sie für Cowork-Bereitstellungen von Drittanbietern stattdessen MDM. Siehe „Cowork auf 3P: MCP, Plugins, Skills und Hooks“ unter https://claude.com/docs/cowork/3p/extensions.

Mitglieder können nicht erkennen, welche Ebene ein Tool eingeschränkt hat. Die Meldung ist gleich, ob die Beschränkung aus der organisationsweiten Tool-Richtlinie, einer Rollenzuweisung oder beiden stammt. Um die Quelle zu finden, vergleichen Sie die organisationsweite Richtlinie mit den Rollenzuweisungen des Mitglieds.

Benutzerdefinierte Rollen steuern auch, welche Claude-Modelle eine Rolle verwenden kann, und die maximale Aufwandsstufe, die Mitglieder für jedes Modell auswählen können. Sie legen diese auf der Registerkarte „Modelle“ des Rollen-Editors fest, neben dem Standardmodell und der Standardaufwandsstufe der Rolle.

Die Modelleinstellung auf Organisationsebene ist die Obergrenze. Eine Rolle kann kein Modell gewähren, das auf Organisationsebene deaktiviert ist. Über die Rollen eines Mitglieds hinweg ist der Modellzugriff additiv und Aufwandsgrenzen nehmen die höchste Obergrenze an, die eine Rolle erlaubt. Haiku-Modelle sind immer verfügbar und können nicht deaktiviert werden.

Anweisungen zur Einrichtung und was Mitglieder sehen, finden Sie unter „Modellzugriff für Ihre Organisation verwalten“ unter https://support.claude.com/en/articles/15694740. Informationen zum Standardmodellverhalten finden Sie unter „Standardmodell für Ihre Organisation festlegen“ unter https://support.claude.com/en/articles/15330088.

Wenn eine Funktion eingeschränkt ist, sehen Mitglieder Folgendes. Informationen zu Connector- und Tool-Einschränkungen finden Sie unter Connector-Berechtigungen oben.